到2023年，数十亿物联网(IoT)设备将进入生活、工业和关键基础设施的几乎每个领域。由于这些永久连接的智能设备处理非常敏感的数据，因此它们的最新性至关重要，尤其是在发生黑客攻击、数据滥用或工业间谍活动时。

在此背景下，弗劳恩霍夫ISI的一项新研究分析了520亿台设备的数据、它们的地理位置，以及它们安装的固件是否是最新的以及欧洲通用数据保护条例对此的影响。研究结果表明，非常严重的网络攻击很容易发生只是时间问题。

用户使用可穿戴设备跟踪自己的健康状况和健身情况，在客厅中放置带有强大麦克风的智能扬声器，并安装来自无名制造商的廉价传感器以自动化智能家居中的任务。这同样适用于工业，例如工业物联网设备连接和监控机器。大多数这些设备一旦安装并运行后很快就会被遗忘。

过时的固件和更新或补丁中可能存在的漏洞常常被忽视，即使某些物联网设备制造商提供了这些漏洞，但情况并非总是如此，因为他们中的许多人优先考虑快速上市时间，并且只很少提供软件或固件更新和补丁。这可能会给用户带来严重的隐私和安全威胁。

世界各地的政策制定者已经意识到用户面临的这些威胁，并寻求欧洲GDPR等强有力的法规。此外，欧盟指令中规定的“更新权”自2022年起生效，是迈向更安全设备的又一重要步骤。最近，欧盟委员会签署了《网络弹性法案》，该法案规定制造商有法律义务在消费者购买后的几年内向消费者提供及时的安全更新。

这对智能设备制造商有何影响?

一项新研究试图为这个问题和其他问题提供答案，并分析了2015年10月至2021年11月底来自物联网搜索引擎Censys.io的400TB真实世界数据。该分析包含来自520亿台设备的数据。其中，1.75亿台设备透露了可分析信息，从而形成了一个数据集，其中包含来自384个制造商的7,116个不同型号，分为17种不同的设备类型。

这些数据可以对各种国家进行比较，即所有欧盟成员国、七国集团国家和瑞士，还有俄罗斯和乌克兰，以及马来西亚、印度尼西亚、新加坡、日本和英国等亚洲国家。调查结果显示大多数设备部署在美国(52%)，其次是德国(7%)、俄罗斯(4%)、英国(4%)、日本(4%)、法国(4%)、加拿大(3%)、波兰(3%)、新加坡(1%)、印度尼西亚(1%)等国家(16%)。

旧固件和设备老化导致的主要网络安全风险

检查2021年底的现状，德国设备上运行的固件的寿命为689天，分别为1.9年(y)。此外，这些设备已有近一年(351天)没有收到任何其他更新(软件更新、补丁等)。

在欧盟层面，情况更糟，固件更新延迟了930天(2.5年)，其他更新被忽略了411天(1.1年)。这意味着许多此类设备的使用都与重大网络安全风险相关，并且数据保护不再可能——例如，这些设备很容易受到攻击，很容易成为黑客攻击的目标。

从设备使用年限和地域差异来看，结果发现爱尔兰的设备是最新的(239天)，而葡萄牙则以786天排在最后。如果我们看看东南亚，就会发现新加坡表现最好(299天)，马来西亚表现最差(477天，1.3年)。最古老的设备可以在日本找到(716天，差不多2年)。

GDPR是否提高了已安装固件的最新性?

关于自欧洲通用数据保护条例(GDPR)生效以来情况是否有所好转的问题(其中包含对此问题的明确规定)，该研究显示了有趣的发现：但欧洲的情况却大不相同：事实上，35个欧盟成员国中有28个国家的设备寿命平均增加了99天。

FrankEbbers博士是该主题的两篇研究论文的作者(一篇发表在2023年IEEE第8届软件工程和计算机系统国际会议(ICSECS)上，一篇发表在IEEETransactionsonSoftwareEngineering上)，他对结果进行了解释。“低更新率应该引起制造商和用户以及政策制定者的警惕，并加强对这个问题的关注。同样令人惊讶的是，GDPR[没有]对欧盟内部的软件更新产生预期的影响。

“这可能是因为用户认为现在GDPR已经生效，只有公司才负责更新，并且这些组织更关心客户的隐私。”

埃伯斯认为，制造商、监管机构和用户本身都有责任。“只有通过这三个合作伙伴的共同努力，才有可能打造出更加安全的IT基础设施。”

人们常说，这种情况可以通过自动更新(即所谓的“无线”更新)来改善。他对此持批判态度。“这里出现的第一个问题是谁对自动更新错误造成的损害负责。想想医疗领域，便携式心电图设备的错误更新可能会夺去生命。”

因此，监管机构应向制造商提出建议，迫使(或推动)他们将良好的更新机制纳入设备中，以便最终用户轻松理解。此外，作为CE标签的一部分，更新应成为在欧洲调试的先决条件。